Agentische KI im Unternehmen: Sicherheit, Kosten und neue Kompetenzen

Agentische Systeme wie Claude Cowork und OpenAI Codex können Wissensarbeit beschleunigen. Teil 1 dieser Serie hat gezeigt, wie. Aber dürfen Unternehmen sie einsetzen? Welche Sicherheitsrisiken bestehen? Was kostet der Betrieb? Und welche Kompetenzen benötigen Wissensarbeiter, um mit diesen Systemen produktiv zu arbeiten? Teil 2 unserer Serie beantwortet diese Fragen und gibt konkrete Empfehlungen für den Pilotstart. Berechtigte Bedenken Die häufigste Reaktion auf Demos agentischer KI-Systeme lautet: "Meine IT-Abteilung wird das niemals freigeben." Die Bedenken sind berechtigt, und das hat mehrere Gründe. Agenten sind anfällig für Manipulation Ein aktuelles Deepmind-Paper beschreibt diese Bedrohung unter dem Begriff AI Agent Traps und zeigt, dass das Problem über die bereits bekannten Prompt Injections hinausgeht. AI Agent Traps sind Fallen in der Informationsumgebung eines Agenten. Sie können seine Wahrnehmung, seine Schlussfolgerungen, sein Gedächtnis, seine Handlungen, seine Zusammenarbeit mit anderen Agenten oder den menschlichen Aufseher angreifen. Für Unternehmen ist das relevant, weil die Sicherheitsfrage damit über den Prompt hinausgeht. Sie betrifft die gesamte Umgebung, in der ein Agent Informationen liest, verarbeitet und in Handlungen übersetzt. AngriffsklasseTypischer MechanismusZielContent Injection TrapsVersteckte Instruktionen in HTML, Metadaten, Accessibility-Tags oder anderen maschinenlesbaren SchichtenWahrnehmung des AgentenSemantic Manipulation TrapsAutoritär klingende, irreführende oder verzerrende InhalteSchlussfolgerung und ReasoningCognitive State TrapsVergiftung von RAG-Wissensbasen, Erinnerungen oder LangzeitkontextGedächtnis und LernenBehavioural Control TrapsEingaben, die den Agenten zu riskanten oder unerlaubten Aktionen bringenHandlungsausführungSystemic TrapsVerteilte oder koordinierte Angriffe über mehrere Quellen oder AgentenMulti-Agenten-NetzwerkeHuman-in-the-Loop TrapsIrreführende Zusammenfassungen, Genehmigungsmüdigkeit, AutomatisierungsbiasMenschlicher Aufseher Für Unternehmen ergibt sich daraus eine einfache Konsequenz. Sicherheit beginnt nicht erst beim Output. Sie beginnt bei Quellen, Kontext, Werkzeugen, Freigaben und menschlicher Aufsicht. Anthropic warnt in der Cowork-Sicherheitsdokumentation selbst vor Prompt Injections. Inhalte aus dem Web, aus Dokumenten oder aus Erweiterungen können das Verhalten des Agenten beeinflussen und im schlimmsten Fall Aktionen auf dem Rechner des Nutzers anstoßen. Schutzmechanismen gibt es, aber das Risiko ist nicht null. Cowork ist ausdrücklich als Research Preview klassifiziert. Anthropic empfiehlt Vorsichtsmaßnahmen und rät für regulierte Workloads von der Aktivierung ab. Cowork hat klare Compliance-Lücken Laut Anthropic speichert Cowork Gesprächsverläufe lokal auf dem Rechner des Nutzers. Diese Daten unterliegen nicht Anthropics Standard-Aufbewahrungsfristen. Cowork-Aktivität erscheint weder in Audit Logs noch in der Compliance API oder in Data Exports. OpenTelemetry bietet zwar Sichtbarkeit für Nutzung, Kosten und Tool-Aktivität, ersetzt aber kein Audit-Logging. Für regulierte Branchen wie Finanzdienstleistungen oder das Gesundheitswesen ist das ein echtes Hindernis. Wer nachweisen muss, welche Daten wann und von wem verarbeitet wurden, kann Cowork in seiner aktuellen Form schwer in bestehende Compliance-Strukturen einbinden. Cowork und Codex unterscheiden sich deutlich im Enterprise-Reifegrad Cowork ist eine Research Preview mit klaren Einschränkungen. Codex Enterprise bringt im ChatGPT-Workspace Enterprise-Kontrollen wie SCIM, EKM, Domain-Verifizierung, RBAC, User Analytics und Compliance-Exporte mit. Wie stark diese Kontrollen für die konkrete Codex-Nutzung greifen, hängt allerdings davon ab, ob Nutzer sich über ChatGPT oder per API-Key anmelden. Cowork und Codex stellen also unterschiedliche Anforderungen an Governance, Freigabe und Compliance. Weiterführende Anthropic-Dokumentation zu Cowork Sicherheit & Risiken Team-/Enterprise-Einsatz & Admin-Grenzen Grundlagen & Funktionsweise Weiterführende OpenAI-Dokumentation zu Codex Authentifizierung & Zugriffsmodell Governance & Compliance API Enterprise-Setup & Admin-Kontrollen Welche Kontrollen es bereits gibt Sicherheits- und Governance-Fragen fallen bei Cowork und Codex sehr unterschiedlich aus. Letztlich bleibt es eine Governance-Frage. Unternehmen müssen entscheiden, welche Mitarbeitenden welche Werkzeuge und Datenzugriffe erhalten, wie stark Web- und Tool-Zugriffe begrenzt sind und welche Form von Aufsicht und Logging das Unternehmen verlangt. Cowork: Lokale VM, begrenzte Enterprise-Kontrollen Für Unternehmen sind vor allem vier Punkte wichtig. Cowork arbeitet in einer virtuellen Maschine, kann aber in reale, freigegebene Ordner schreiben. Dauerhaftes Löschen verlangt eine ausdrückliche Bestätigung. Anthropic betont, dass Cowork auf menschliche Aufsicht ausgelegt ist und folgenreiche Entscheidungen beim Nutzer bleiben sollen. Cowork ist zudem nur organisationsweit schaltbar, nicht pro Nutzer oder Rolle. Plugins lassen sich feiner steuern als Cowork selbst. Team- und Enterprise-Organisationen können eigene Plugin-Marktplätze mit Zuständen wie Auto-install, Available und Not available verwalten. Die Web-Suche ist ein Sonderfall. Cowork respektiert grundsätzlich die Network-Egress-Regeln der Organisation. Das Web-Suche-Tool ist davon ausgenommen und kann separat deaktiviert werden. Über die mobile Claude-App lassen sich mittlerweile auch Aufgaben an den Desktop-Agenten delegieren. Für Unternehmen, die die Nutzung privater Smartphones für Arbeitszwecke stark einschränken oder mobile Geräte zentral absichern, ist das ein zusätzlicher Risikofaktor. Codex Enterprise: Mehr Kontrolle, klarere Regeln OpenAI trennt bei Codex zwischen Codex local und Codex cloud. Codex local läuft auf dem Rechner des Nutzers, etwa in der App, der CLI oder einer IDE-Erweiterung. Codex cloud läuft in von OpenAI verwalteten Containern. Local kann per ChatGPT-Login oder API-Key genutzt werden, Cloud nur mit ChatGPT-Anmeldung. Zugriff und Freigaben lassen sich über Workspace-Einstellungen und Rollen steuern. Für Unternehmen ist vor allem wichtig, welche Nutzung sichtbar und auditierbar ist. OpenAI stellt über die Compliance API Audit-Aufzeichnungen und Metadaten für ChatGPT-authentifizierte Codex-Nutzung bereit. Diese Daten lassen sich in bestehende Sicherheits- und Compliance-Prozesse einbinden, etwa für eDiscovery, DLP oder SIEM. API-key-authentifizierte Nutzung folgt den Regeln der API-Organisation und taucht nicht in diesen Compliance-Exporten auf. Wer maximale Nachvollziehbarkeit will, sollte Codex deshalb möglichst über ChatGPT-authentifizierte Enterprise-Nutzung einsetzen. Auch die technische Kontrolle ist stärker ausgebaut als bei Cowork. Cloud-Agenten laufen in isolierten Containern. Eine Setup-Phase darf bei Bedarf auf das Netzwerk zugreifen. Die eigentliche Agentenphase läuft standardmäßig ohne öffentlichen Internetzugriff weiter, sofern dieser nicht ausdrücklich aktiviert wird. Zusätzlich können Admins zentral Regeln verteilen, etwa für Genehmigungen, Sandbox-Modi, Web Search, MCP-Server und erlaubte Befehle. OpenAI verwendet Geschäftsdaten aus ChatGPT Business, Enterprise und der API standardmäßig nicht zum Modelltraining. Ein pragmatischer Einstieg in vier Schritten Experimentieren lohnt sich, ein flächendeckendes Ausrollen wäre verfrüht. Ein pragmatischer Einstieg umfasst vier Schritte. Daten klassifizieren. Vor dem ersten Einsatz festlegen, welche Daten ein agentisches System sehen darf. Keine vertraulichen Finanzdokumente, keine Personaldaten, keine Kundendaten aus regulierten Bereichen. Ein dedizierter Arbeitsordner mit unkritischen Projektdaten ist der sicherste Startpunkt. Rollen und Freigaben definieren. Festlegen, wer im Team mit agentischen Systemen arbeitet und für welche Aufgabentypen. Pilotnutzer sollten ihre Erfahrungen systematisch dokumentieren. Klein anfangen. Mit einem konkreten Projekt starten, dessen Ergebnisse leicht überprüfbar sind. Eine Wettbewerbsanalyse, ein Recherche-Report oder eine Dateireorganisation eignen sich besser als ein sensibler Strategieentwurf. Governance-Erfahrungen sammeln. Der Pilotstart liefert Erkenntnisse darüber, welche Governance-Regeln das Unternehmen für agentische Systeme benötigt. Welche Laufwerke darf der Agent nutzen? Ist Web Search aktiviert? Welche Plugins und MCP-Server sind erlaubt? Wo liegen Logs und Verläufe? Diese Fragen lassen sich im Pilot besser klären als im großen Rollout. Die Kunst liegt darin, für jeden Prozess die richtige Autonomiestufe zu bestimmen, wie wir es in unserem Oversight-Artikel anhand der Analogie zum autonomen Fahren beschrieben haben: Ein Routine-Report, der wöchentlich dieselben Datenquellen anzapft, verträgt viel Autonomie. Eine Kundenanfrage mit rechtlichen Implikationen erfordert enge menschliche Begleitung. Was agentische Systeme kosten Agentische Systeme verbrauchen mehr Rechenbudget als normaler Chat, weil sie Sub-Agenten, Tool-Aufrufe und längere Ausführung koordinieren. Anthropic weist ausdrücklich darauf hin, dass Cowork-Aufgaben mehr Kapazität verbrauchen als reguläre Chats. Claude Pro kostet 20 US-Dollar pro Monat oder 200 US-Dollar pro Jahr. Max kostet 100 oder 200 US-Dollar pro Monat. In unseren Tests reicht Pro für kürzere Aufgaben, stößt bei längeren Cowork-Sessions aber deutlich schneller an Grenzen als Max. Beim aktuellen nutzungsbasierten Enterprise-Plan deckt die Sitzgebühr den Plattformzugang ab. Die Nutzung von Claude, Claude Code und Cowork wird separat zu Standard-API-Preisen abgerechnet. Admins können Ausgabenlimits setzen. Ältere, sitzbasierte Enterprise-Pläne laufen weiter. Codex ist laut OpenAI in ChatGPT Plus, Pro, Business, Edu und Enterprise enthalten. Plus kostet 20 US-Dollar pro Monat, Pro 200 US-Dollar, Business 30 US-Dollar pro Nutzer. Ein separates Codex-Abo gibt es nicht. Zusätzliche lokale Aufgaben lassen sich über API-Key zu Standard-API-Preisen abrechnen. Plus- und Pro-Nutzer können zusätzliche Credits kaufen, Business-, Edu- und Enterprise-Kunden Workspace-Credits. Die tatsächlichen Kosten hängen vom Modell, der Aufgabenkomplexität und davon ab, ob Codex lokal oder in der Cloud läuft. Entscheidend ist am Ende nicht der Preis allein, sondern ob der Agent genug Zeit spart, Qualität hebt oder Aufgaben ermöglicht, die sonst nicht praktikabel wären. Wann lohnt sich ein agentisches System? Nicht jede Aufgabe profitiert von einem Agenten. Eine einfache Faustregel hilft bei der Einordnung. Chat eignet sich für schnelle Fragen und Einzelaufgaben. Einen Text zusammenfassen, eine Formulierung verbessern, eine Idee prüfen. Workflows und Automatisierungen eignen sich für wiederholbare Aufgaben mit definierten Schritten. Ein Newsletter-Template befüllen, Daten aus einer Quelle in eine andere übertragen, standardisierte Reports erstellen. Agentische Systeme lohnen sich bei komplexen, variablen Aufgaben, die mehrere Arbeitsschritte und Werkzeuge erfordern. Eine Wettbewerbsanalyse aus verschiedenen Quellen erstellen, einen Projektordner mit hunderten Dateien reorganisieren, ein mehrteiliges Recherche-Projekt mit verschiedenen Artefakten umsetzen. Neue Kompetenzen: Was Wissensarbeiter jetzt lernen müssen OpenAI beschreibt für seinen Coding-Agenten Codex sehr konkret, was eine gute agentische Aufgabe ausmacht. Sie braucht ein klares Ziel, relevanten Kontext, definierte Rahmenbedingungen und Kriterien, woran man erkennt, dass die Aufgabe erledigt ist. Bei schwierigen Aufgaben soll man den Agenten erst planen lassen, bevor er loslegt. Forscher von Google Deepmind gehen noch weiter und beschreiben "intelligente KI-Delegation" als mehr als bloße Aufgabenverteilung. Dazu gehören Autorität, Verantwortung, Rechenschaft, klare Rollen und Grenzen. Wer mit Agenten arbeitet, muss definieren, was der Agent tun darf, was nicht und wann der Mensch übernimmt. Entscheidend ist dabei der Kontext. Briefing-Dateien, Projektunterlagen und Prüfkriterien müssen so vorbereitet sein, dass der Agent nicht raten muss. Anders als ein menschlicher Kollege fragt er bei Lücken nicht zuverlässig nach. OpenClaw-Erfinder Peter Steinberger, der inzwischen bei OpenAI arbeitet, machte dazu eine treffende Beobachtung: Sich in die Perspektive des Agenten hineinzuversetzen, also zu verstehen, wie wenig er zu Beginn sieht, ist eine unterschätzte Voraussetzung für gute Ergebnisse. Mehr dazu findet ihr in unseren Inhalten zum Context-Engineering. Dazu kommt die Frage der Berechtigungen. Agenten benötigen Leitplanken. OpenAI empfiehlt für Codex beispielsweise, Zugriffsrechte anfangs eng zu halten und nur bei klarer Notwendigkeit zu lockern. Das geht über IT-Sicherheit hinaus, denn auch der Nutzer braucht die Kompetenz zu entscheiden, welche Werkzeuge und Dateien wirklich nötig sind und welche besser gesperrt bleiben. Wichtiger wird auch die Verifikation. Die Arbeit mit agentischen Systemen profitiert von Tests, Checks und Reviews. Das ist auch vor dem Hintergrund der oben beschriebenen Agent Traps relevant. Wer Ergebnisse ungeprüft übernimmt, übernimmt auch die Fehler. Und weil agentische Systeme nicht linear arbeiten, sondern umplanen, verzweigen und in Sackgassen landen können, brauchen Nutzer ein Gefühl dafür, wann sie weiterlaufen lassen, wann sie den Kontext nachschärfen und wann sie abbrechen. Deepmind nennt das adaptive Überwachung, Steinberger spricht von einem "Zeitgefühl" für Agenten: Wenn eine Aufgabe zu schnell erledigt ist, hat der Agent vermutlich Abkürzungen genommen. Wenn es zu lange dauert, steckt er vermutlich fest. Erfahrene Nutzer entwickeln eine Intuition für den richtigen Arbeitstakt. So entsteht mehr als eine Weiterentwicklung des Prompt- oder Context-Engineerings. Es ist eine neue Form der Wissensarbeit. Arbeit präzise delegieren, Grenzen setzen, Zwischenergebnisse prüfen und Verantwortung nicht an das System abgeben. Im Grunde wird jeder, der einen Agenten nutzt, zur Führungskraft eines digitalen Mitarbeiters, der schnell und (mehr oder weniger) kompetent, aber ohne eigene Intention arbeitet.

Agentische KI im Unternehmen: Sicherheit, Kosten und neue Kompetenzen

heise KI PROKI VERSTEHEN UND ANWENDEN

heise KI PRO
KI VERSTEHEN UND ANWENDEN